La Ley de IA de la UE para gaming e iGaming: qué cuenta de verdad como alto riesgo
Casi toda la IA de gaming e iGaming no es de alto riesgo. La exposición real: biometría de edad, asequibilidad y los límites del artículo 5.
Probablemente no. La mayor parte de la IA que opera un estudio de videojuegos o un operador de igaming no es de alto riesgo según el Reglamento (UE) 2024/1689, la Ley de IA de la UE. El emparejamiento, la dificultad dinámica, la recomendación de contenido, el diálogo de PNJ, la detección de fraude y la segmentación de anuncios no figuran en el anexo III y no están prohibidos según el artículo 5, así que el régimen completo de conformidad de alto riesgo no se adhiere. La exposición real se concentra en cinco superficies estrechas: biometría de verificación de edad, comprobaciones de asequibilidad, diseño manipulador según el artículo 5, información del artículo 50 y perfilado de menores según el RGPD.
La tarea de un responsable legal o de cumplimiento de gaming es inventariar cada superficie de IA y clasificarla según los artículos 5 y 6, separando la herramienta de interacción de riesgo limitado de los pocos sistemas que acarrean obligaciones reales. Empieza por cómo funciona la clasificación de riesgo limitado, donde se sitúa el grueso de la pila de gaming.
La mayor parte de la IA de gaming e iGaming no es de alto riesgo: empieza por ahí
El error más caro en el cumplimiento de gaming es asumir que un sistema es de alto riesgo porque toca todas las sesiones o impulsa los ingresos. La Ley de IA de la UE no clasifica por escala ni por peso comercial; clasifica por caso de uso.
Por qué lo decide el anexo III, no el gasto ni la escala — artículo 6(2)
El estatus de alto riesgo lo fija el artículo 6(2): un sistema de IA autónomo es de alto riesgo solo cuando cae dentro de uno de los ocho ámbitos de uso del anexo III. Los ingresos, los usuarios activos diarios y las métricas de interacción son irrelevantes; solo importa la función realizada frente al anexo III, de modo que un modelo de emparejamiento que corre en cada partida no es más de alto riesgo que una tabla de clasificación estática si no se sitúa en ninguno de esos ámbitos.
Los seis sistemas comunes que se quedan en limitado o mínimo
El emparejamiento, el ajuste de dificultad dinámica, la recomendación de contenido y de juegos, la generación de diálogo de PNJ, la detección de fraude y de bots, y la segmentación de anuncios no son, por sí mismos, de alto riesgo: ninguno aparece en ninguno de los ocho ámbitos de uso del anexo III. La pila de conformidad de los artículos 8 a 15, el artículo 16 y el artículo 43 no se adhiere a la IA ordinaria de interacción con el jugador.
Las líneas estrechas que muerden de verdad
Cinco superficies acarrean la exposición real —estimación biométrica de edad, comprobaciones de asequibilidad, diseño manipulador según el artículo 5(1)(a), información del artículo 50 y perfilado de jugadores según el RGPD—, y las secciones siguientes recorren cada una.
IA de verificación de edad y comprobaciones biométricas: donde el gaming toca la biometría
Esta es la vía más clara del gaming y el igaming al nivel de alto riesgo: en el momento en que la verificación de edad usa biometría, la clasificación puede cambiar.
Estimación de edad por biometría — anexo III, punto 1, letra b)
La estimación facial de edad que agrupa a un jugador en una franja de edad es categorización biométrica, de alto riesgo según el anexo III, punto 1, letra b) cuando se mantiene lejos de la lista de atributos sensibles prohibida. Un modelo que procesa un selfie para decidir «esta persona probablemente es mayor de 18» está realizando categorización biométrica, no mera clasificación de imágenes.
Los límites del artículo 5: inferencia de atributos sensibles y rastreo no selectivo
Dos prohibiciones se sitúan por encima del nivel de alto riesgo. El artículo 5(1)(g) prohíbe la categorización biométrica que infiere atributos sensibles —raza, opiniones políticas, creencias religiosas o filosóficas, afiliación sindical, orientación sexual o salud—, así que un modelo de control de edad debe documentarse como que no toca esa lista. El artículo 5(1)(e) prohíbe por separado crear o ampliar bases de datos de reconocimiento facial mediante el rastreo no selectivo de imágenes de internet o de CCTV.
Verificación frente a identificación — qué se queda fuera
La verificación de identidad uno a uno —confirmar «esta es la persona que dice ser» contra un documento presentado, como un selfie de KYC cotejado con un documento de identidad cargado— es verificación, no la identificación uno a muchos del anexo III, punto 1, letra a), y en general se queda fuera del nivel de alto riesgo. El artículo 9 del RGPD corre en paralelo en todo caso: los datos biométricos son datos de categoría especial y necesitan una base jurídica del artículo 9(2) además de cualquier obligación de la Ley de IA. Consulta de forma cruzada la IA biométrica según el anexo III, punto 1 para la pila completa del proveedor.
IA de asequibilidad y solvencia de juego responsable: la trampa del anexo III, punto 5, letra b)
La segunda superficie genuina de alto riesgo es exclusiva del igaming, y es una de las categorías del anexo III más fuertemente reguladas.
Cuándo un modelo de asequibilidad se convierte en puntuación de solvencia — punto 5, letra b)
El anexo III, punto 5, letra b) hace de alto riesgo la IA usada para evaluar la solvencia de personas físicas o establecer su calificación crediticia, y un modelo de asequibilidad o de origen de fondos de igaming que efectivamente puntúa la capacidad financiera de un jugador puede caer dentro de él. Un modelo que evalúa la renta disponible para fijar límites de depósito se sitúa más cerca del punto 5, letra b), que un monitor conductual que marca patrones de juego.
Monitorización de marcadores de daño que se queda fuera de ámbito
La monitorización conductual pura de juego responsable —duración de sesión, patrones de persecución de pérdidas, detonantes de autoexclusión— no es un caso de uso listado del anexo III por sí mismo y suele quedarse en riesgo limitado o mínimo. Pero documenta la frontera: un motor que además calcula una puntuación de asequibilidad tiene un pie en el punto 5, letra b).
La detección de fraude está expresamente excluida
El régimen del anexo III, punto 5, letra b), lleva una exclusión a nivel de considerando: la IA usada para detectar fraude financiero no se trata como puntuación de solvencia, así que la detección de fraude y de bots en gaming se queda fuera de ámbito por la misma lógica. Si el modelo de asequibilidad es de alto riesgo, el responsable del despliegue carga con los deberes del artículo 26 y una posible evaluación de impacto relativa a los derechos fundamentales del artículo 27 cuando presta servicios con una dimensión de interés público, mientras que el proveedor carga con la pila completa. Las particularidades del regulador nacional de juego y las autoridades competentes deberían señalarse para revisión humana en lugar de inventarse. Consulta de forma cruzada la IA de puntuación de solvencia según el anexo III, punto 5, letra b) para la profundidad de las obligaciones.
Diseño manipulador y subliminal: cajas de botín, patrones oscuros y artículo 5(1)(a)
Esta es la rara bandera roja de nivel superior para el gaming, no el caso cotidiano.
El umbral de dos extremos — distorsión material más daño significativo
El artículo 5(1)(a) prohíbe la IA que despliega técnicas subliminales más allá de la consciencia de una persona, o técnicas deliberadamente manipuladoras o engañosas, que distorsionan materialmente el comportamiento y causan —o es razonablemente probable que causen— un daño significativo. Ambos extremos deben estar presentes: distorsión conductual material y daño significativo; la dificultad dinámica ordinaria y las ofertas personalizadas superan ese umbral.
Explotar la vulnerabilidad, incluidos los menores — artículo 5(1)(b)
El artículo 5(1)(b) prohíbe por separado la IA que explota vulnerabilidades de edad, discapacidad o una situación social o económica específica para distorsionar materialmente el comportamiento y causar un daño significativo: un límite directo a la segmentación por IA de menores o de jugadores financieramente vulnerables. El riesgo se concentra donde una caja de botín, un casi-acierto o un sistema de precios dinámicos impulsado por IA está diseñado para explotar la compulsión e impulsar un gasto dañino.
Donde termina la persuasión y empieza la prohibición
La Ley de IA no prohíbe en sí las cajas de botín; limita el uso manipulador de la IA, con las reglas nacionales de consumo, juego y la Ley de Servicios Digitales a su lado. Las prohibiciones del artículo 5 se aplican desde el 2 de febrero de 2025 y se sitúan en el nivel de sanción más alto según el artículo 99(3); el Ómnibus Digital también añade prohibiciones de protección de la infancia —material de abuso sexual infantil y herramientas de «desnudado»— a la misma familia del artículo 5. Lee las prácticas prohibidas del artículo 5 para el umbral completo.
Transparencia del artículo 50: diálogo de PNJ, chatbots y contenido de juego sintético
Estos son deberes ligeros de información por sistema sin pila de conformidad detrás, que alcanzan más del parque de gaming que las reglas de alto riesgo pero con una carga mucho menor.
Los chatbots y los PNJ conversacionales deben informar de la IA — artículo 50(1)
El artículo 50(1) exige que los sistemas de IA destinados a interactuar directamente con personas informen a los usuarios de que tratan con un sistema de IA, salvo que sea obvio por el contexto. Un chatbot de soporte al jugador, o un compañero o PNJ conversacional con IA presentado como un interlocutor real, cae dentro de este deber; una etiqueta corta en la interfaz al inicio de la conversación es el patrón seguro. El diálogo de PNJ obviamente ficticio en un mundo de juego ficticio es el caso central de la excepción artística.
Voces, caras y ultrafalsificaciones sintéticas — artículo 50(4)
El artículo 50(4) exige información cuando una imagen, audio o vídeo se genera o manipula para constituir una ultrafalsificación, relevante para voces sintéticas de celebridades, streamers con cambio de cara o portavoces sintéticos. La disposición mantiene una excepción para obras evidentemente artísticas, creativas, satíricas o ficticias: el diálogo de PNJ ficticio en un mundo obviamente ficticio es el caso central cubierto, pero un chatbot que suplanta a una persona real no lo es.
Marcar las salidas generadas y la fecha de marcado de contenido — artículo 50(2)
El artículo 50(2) es un deber del lado del proveedor: los proveedores de sistemas de IA generativa deben marcar las salidas en un formato legible por máquina detectable como generado artificialmente, mordiendo cuando un estudio construye su propia herramienta generativa en lugar de consumir la de un tercero. Los deberes de marcado de contenido se aplican desde el 2 de diciembre de 2026 bajo el Ómnibus Digital, ya adoptado (Parlamento Europeo: 16 de junio de 2026; Consejo: 29 de junio de 2026), y en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026. Lee las obligaciones de transparencia del artículo 50 para la regla general.
El perfilado de jugadores según el RGPD —sobre todo de menores— corre junto a la Ley de IA
Para los sistemas que no son de alto riesgo, el RGPD —no la pila de alto riesgo de la Ley de IA— suele ser la restricción vinculante sobre el emparejamiento, la recomendación, la segmentación de anuncios y el perfilado de asequibilidad.
Por qué el RGPD es la capa vinculante para la mayor parte de la IA de gaming
Un modelo fuera del anexo III no acarrea obligaciones de alto riesgo bajo la Ley de IA, pero sí carga con todo el peso del RGPD: base jurídica, minimización de datos, reglas de perfilado y transparencia. Tratarlo como «no regulado» es el reverso del error de creer-todo-de-alto-riesgo.
Perfilado y decisiones automatizadas que afectan a los jugadores
El artículo 22 del RGPD limita las decisiones únicamente automatizadas que producen efectos jurídicos o similarmente significativos —una restricción automatizada de cuenta o un corte por asequibilidad— sin salvaguardas, y los artículos 6 y 9 del RGPD rigen la base jurídica para el perfilado.
Protección reforzada para los datos de los menores
Los datos personales de los niños llevan una protección reforzada del RGPD. El perfilado de menores para segmentación o monetización es un área de alto escrutinio independiente del nivel de riesgo de la Ley de IA, que se cruza directamente con la prohibición de vulnerabilidad del artículo 5(1)(b). Ejecuta ambos análisis en paralelo, con una EIPD donde el perfilado sea significativo. La alfabetización en IA del artículo 4, en vigor desde el 2 de febrero de 2025, se aplica a toda la organización. Consulta de forma cruzada cómo funciona la clasificación de riesgo limitado para que los sistemas de nivel bajo se enruten a transparencia y RGPD en lugar de a la pila de conformidad.
Ejemplo práctico: cómo un operador europeo de iGaming de tamaño medio clasifica su pila de IA
Considera Lumion Play, un casino en línea y estudio de juegos con licencia de Malta, con 400 empleados y jugadores en varios países miembros de la UE, que opera siete superficies de IA.
Llevar cada sistema a un nivel
Cuatro sistemas se quedan fuera del nivel de alto riesgo: emparejamiento y dificultad dinámica, recomendación de juegos y de contenido, el diálogo de PNJ y el chatbot de soporte al jugador (artículo 50(1)), y la detección de fraude y de bots. Dos son de alto riesgo aislado: el control de edad por estimación facial según el anexo III, punto 1, letra b), siempre que evite los atributos del artículo 5(1)(g); y el modelo de asequibilidad y origen de fondos según el anexo III, punto 5, letra b). El séptimo, el motor de cajas de botín y precios dinámicos, es lícito como persuasión pero es la línea roja del artículo 5(1)(a) y (b) que hay que vigilar.
Ejecutar el análisis de giro de proveedor del artículo 25
Lumion compra sus herramientas de estimación de edad y de asequibilidad, así que es un responsable del despliegue, no un proveedor, y se aplican los deberes de responsable del despliegue del artículo 26: uso conforme a la finalidad prevista, supervisión humana, monitorización y registro. El artículo 25(1) invierte ese rol si Lumion marca un sistema de alto riesgo como propio, lo modifica sustancialmente o lo reutiliza de modo que se vuelva de alto riesgo, heredando la pila completa de proveedor de los artículos 8 a 15.
El resultado práctico de cumplimiento
El resultado no es una maratón de conformidad para todo el sitio: cinco de siete sistemas son de riesgo limitado o mínimo, cargando con deberes del artículo 50, del RGPD y del artículo 4; dos —el control de edad y el modelo de asequibilidad— son sistemas de alto riesgo aislados, y el motor de monetización necesita una revisión del artículo 5.
El mapa de casos de uso a riesgo de gaming e iGaming
La tabla colapsa toda la guía en una vista: encuentra tu sistema, lee su nivel probable y luego la obligación y el artículo.
Cómo leer la tabla
| Uso de IA en gaming / iGaming | Nivel probable | Obligación y artículo clave |
|---|---|---|
| Emparejamiento | Mínimo / limitado | Perfilado RGPD; límite externo del artículo 5 |
| Ajuste de dificultad dinámica | Mínimo / limitado | Sin obligaciones de alto riesgo; solo RGPD |
| Recomendación de contenido / juegos | Mínimo / limitado | Límite externo del artículo 5 + perfilado RGPD |
| Diálogo de PNJ / chatbot de soporte | Limitado | Información de interacción con IA del artículo 50(1) |
| Detección de fraude / bots | Mínimo / limitado | Expresamente fuera del anexo III, punto 5, letra b) |
| Segmentación de anuncios | Mínimo / limitado | Artículo 5 + reglas de perfilado del RGPD |
| Control de edad biométrico por estimación | Alto riesgo | Anexo III, punto 1, letra b) + artículo 9 del RGPD |
| Comprobación de asequibilidad / solvencia | Alto riesgo | Anexo III, punto 5, letra b) + EIDF del artículo 27 |
| IA de cajas de botín / precios manipuladora diseñada para dañar | Prohibido | Artículo 5(1)(a)/(b), artículo 99(3) |
Los niveles de sanción, en línea
Las infracciones del artículo 5 se sitúan en el nivel más alto: hasta 35.000.000 € o el 7 % del volumen de negocios anual total mundial, lo que sea mayor, según el artículo 99(3). La mayoría de las demás infracciones —deberes de alto riesgo sobre los sistemas de estimación de edad o de asequibilidad y transparencia del artículo 50— son hasta 15.000.000 € o el 3 % según el artículo 99(4); la información engañosa a las autoridades es hasta 7.500.000 € o el 1 % según el artículo 99(5). Para pymes y empresas emergentes, el artículo 99(6) limita la multa al menor entre el porcentaje o el importe fijo.
Plazos y la salvedad del Ómnibus Digital
Ya en vigor: las prohibiciones del artículo 5 y la alfabetización del artículo 4 (2 de febrero de 2025) y las obligaciones de GPAI según los artículos 51 a 55 (2 de agosto de 2025); el marcado de contenido del artículo 50 aplica desde el 2 de diciembre de 2026. La fecha legal del alto riesgo autónomo del anexo III según el artículo 6(2) es el 2 de agosto de 2026, con un aplazamiento ya adoptado al 2 de diciembre de 2027; la vía de productos del anexo I según el artículo 6(1) aplica desde el 2 de agosto de 2027, con aplazamiento adoptado al 2 de agosto de 2028. El Ómnibus Digital fue adoptado (Parlamento Europeo: 16 de junio de 2026; Consejo: 29 de junio de 2026) y entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026: planifica contra las fechas aplazadas.
Cómo ayuda Confir
Confir proyecta cada superficie de IA sobre su nivel y obligación a partir de una entrada en lenguaje claro, separando la herramienta de interacción de riesgo limitado y mínimo de los sistemas de alto riesgo aislados y de cualquier bandera roja de manipulación del artículo 5.
El motor es determinista y basado en reglas: sin inferencia de modelo, sin alucinación. Las mismas respuestas de entrada producen el mismo resultado, con la regla que se activó visible, de modo que cada clasificación es reproducible y defendible ante una auditoría. Confir produce una clasificación auditable, un registro de información del artículo 50, un rastro de alfabetización en IA del artículo 4 y un flujo de EIDF del artículo 27 cuando aplica. Las particularidades del regulador nacional de juego se señalan para revisión humana, y el cumplimiento de proveedor de GPAI sigue siendo un área parcial y en la hoja de ruta.
Preguntas frecuentes
¿Es de alto riesgo la IA de emparejamiento, dificultad dinámica o recomendación según la Ley de IA de la UE?
No. El estatus de alto riesgo viene del anexo III vía artículo 6(2), y la IA central de interacción del juego —emparejamiento, ajuste de dificultad dinámica, recomendación de contenido y de juegos, diálogo de PNJ y detección de fraude— no aparece en ninguno de los ocho ámbitos de uso del anexo III. La pila de conformidad de los artículos 8 a 15, 16 y 43 no se adhiere. Los deberes que sí aplican son la transparencia del artículo 50 para chatbots de cara al jugador, los límites de manipulación del artículo 5, la alfabetización en IA del artículo 4 y las reglas de perfilado del RGPD. El gaming toca el régimen de alto riesgo solo por puertas laterales estrechas como la estimación biométrica de edad o la puntuación de asequibilidad.
¿Es de alto riesgo la verificación de edad por IA para operadores de gaming e igaming?
Puede serlo. La IA que estima la edad de un jugador a partir de la biometría facial y lo agrupa en una franja de edad es categorización biométrica, de alto riesgo según el anexo III, punto 1, letra b), siempre que no infiera los atributos sensibles prohibidos por el artículo 5(1)(g). La verificación de identidad uno a uno que simplemente confirma que un jugador es quien dice ser contra un documento presentado es verificación, no la identificación del anexo III, punto 1, letra a), y en general se queda fuera del nivel de alto riesgo. En todo caso, los datos biométricos son datos de categoría especial según el artículo 9 del RGPD y necesitan una base jurídica del artículo 9(2): la conformidad con la Ley de IA no satisface el RGPD.
¿Son de alto riesgo las comprobaciones de asequibilidad y origen de fondos de juego responsable por IA?
Pueden serlo. El anexo III, punto 5, letra b), hace de alto riesgo la IA que evalúa la solvencia de personas físicas o establece una calificación crediticia, y un modelo de asequibilidad u origen de fondos que efectivamente puntúa la capacidad financiera de un jugador para fijar límites de depósito puede caer dentro de él. La monitorización conductual de marcadores de daño —marcar la persecución de pérdidas o los patrones de sesión— no es un caso de uso listado del anexo III por sí mismo y suele quedarse en riesgo limitado, pero las dos a menudo se agrupan, así que documenta la frontera. La IA usada para detectar fraude financiero se distingue expresamente de la evaluación de solvencia, manteniendo la detección de fraude y de bots de gaming fuera de ámbito.
¿Prohíbe la Ley de IA de la UE las cajas de botín o el diseño de juego manipulador?
No directamente. La Ley no prohíbe las cajas de botín como tales; el artículo 5(1)(a) prohíbe la IA que despliega técnicas subliminales, manipuladoras o engañosas que distorsionan materialmente el comportamiento y causan o es probable que causen un daño significativo: ambos extremos son necesarios. El artículo 5(1)(b) prohíbe por separado la IA que explota vulnerabilidades de edad o situación económica. La dificultad dinámica ordinaria y las ofertas personalizadas son persuasión, no manipulación prohibida. La línea roja es una caja de botín o un motor de precios dinámicos por IA diseñado para explotar la compulsión e impulsar un gasto dañino, sobre todo entre menores. Las reglas nacionales de consumo, juego y la Ley de Servicios Digitales se sitúan junto a la Ley.
¿Deben los PNJ con IA y los chatbots de soporte al jugador informar de que son IA?
A menudo, sí. El artículo 50(1) exige que los sistemas de IA destinados a interactuar directamente con personas informen a los usuarios de que tratan con un sistema de IA, salvo que sea obvio por el contexto. Un chatbot de soporte al jugador o un compañero conversacional con IA presentado como un interlocutor real cae dentro de esto; el diálogo de PNJ obviamente ficticio dentro de un mundo de juego claramente ficticio es el caso central de la excepción artística. Cuando un estudio genera voces, caras o ultrafalsificaciones sintéticas, aplica la información del artículo 50(4), y el artículo 50(2) exige que los proveedores de IA generativa marquen las salidas de forma legible por máquina. Los deberes de marcado de contenido se aplican desde el 2 de diciembre de 2026 bajo el Ómnibus Digital, ya adoptado.
¿Cuándo golpean los plazos de la Ley de IA de la UE a las empresas de gaming e igaming?
Las prohibiciones del artículo 5 y la alfabetización en IA del artículo 4 se aplican desde el 2 de febrero de 2025; las obligaciones de GPAI según los artículos 51 a 55, desde el 2 de agosto de 2025. Los deberes de marcado de contenido del artículo 50 se aplican desde el 2 de diciembre de 2026. La fecha legal del alto riesgo autónomo del anexo III según el artículo 6(2) es el 2 de agosto de 2026, con un aplazamiento ya adoptado al 2 de diciembre de 2027, y la vía de productos del anexo I aplica desde el 2 de agosto de 2027. El Ómnibus Digital fue adoptado por el Parlamento Europeo (16 de junio de 2026) y el Consejo (29 de junio de 2026), y entra en vigor con la publicación en el Diario Oficial, prevista antes del 2 de agosto de 2026: planifica contra las fechas aplazadas.
¿Cuáles son las sanciones si un operador de gaming se equivoca en el cumplimiento de la Ley de IA de la UE?
Usar IA manipuladora prohibida según el artículo 5 se sitúa en el nivel más alto: hasta 35.000.000 € o el 7 % del volumen de negocios anual total mundial, lo que sea mayor, según el artículo 99(3). La mayoría de las demás infracciones —incluidas las obligaciones de alto riesgo sobre los sistemas de estimación de edad o de asequibilidad y los deberes de transparencia del artículo 50— son hasta 15.000.000 € o el 3 % según el artículo 99(4). Suministrar información incorrecta, incompleta o engañosa a las autoridades es hasta 7.500.000 € o el 1 % según el artículo 99(5). Para pymes y empresas emergentes, el artículo 99(6) limita la multa al menor de los dos.
Guías relacionadas
- Cómo funciona la clasificación de riesgo limitado
- Las prácticas prohibidas del artículo 5
- Obligaciones de transparencia del artículo 50
- IA biométrica según el anexo III, punto 1
- IA de puntuación de solvencia según el anexo III, punto 5, letra b)
Gestiona el cumplimiento de la Ley de IA de la UE en un solo lugar
Confir automatiza la clasificación de riesgo, la documentación técnica y los registros de auditoría para cualquier empresa. Sin consultores. Sin proyectos de seis meses. Prueba gratuita de 14 días.
Empieza la prueba gratuita →